Contrat de sous-traitance

1. Objet

Pasto traite, pour le compte du Commerçant et uniquement sur ses instructions, les données personnelles nécessaires à son programme de fidélité. Utiliser le logiciel selon ses réglages vaut instruction.

2. Le traitement

• Finalité : gérer le programme de fidélité du Commerçant (points, récompenses, page carte, SMS acceptés par les clients).
• Personnes concernées : les clients du Commerçant qui s'inscrivent au programme.
• Données : numéro de téléphone ; achats (date, montant, points) ; récompenses utilisées ; choix concernant les SMS, avec la date et le texte affiché ; date d'anniversaire (jour et mois) si le client la donne ; SMS envoyés ; codes de sécurité (empreinte seulement, valables 2 minutes) et téléphones reconnus pour la page carte (3 mois).
• Durée : tant que le client garde sa carte et que le Commerçant est abonné ; suppression automatique d'une carte sans aucun passage depuis 3 ans (délai relancé à chaque passage) ; suppression à la demande du client ; suppression des données 90 jours après la fin du contrat.

Aucune donnée sensible n'est collectée. Aucune donnée n'est vendue ni partagée avec d'autres commerçants.

3. Statistiques globales

Le Commerçant autorise Pasto à produire, à partir de ces données, des statistiques globales et anonymes (nombre de clients, de passages, de SMS, de récompenses) pour le suivi du service, l'assistance et la facturation. Ces statistiques ne permettent d'identifier aucun client.

4. Engagements de Pasto

• Ne traiter les données que pour le programme de fidélité du Commerçant.
• Garantir leur confidentialité : seules les personnes qui en ont besoin y ont accès, et elles sont tenues au secret.
• Assurer leur sécurité : cloisonnement entre commerçants, accès protégés, double authentification pour l'équipe Pasto, journal des actions de l'équipe, limites d'essais, codes à usage unique envoyés par SMS, données stockées dans l'Union européenne.
• Ne consulter le détail de l'espace du Commerçant qu'avec son autorisation donnée en direct, en lecture seule, pour une durée limitée, numéros des clients masqués, avec un journal des accès visible par le Commerçant.
• Aider le Commerçant à répondre aux demandes de ses clients : chaque client peut, depuis sa page carte, télécharger ses données, couper ses SMS et supprimer sa carte.
• Prévenir le Commerçant dans les meilleurs délais, et au plus tard 48 heures après en avoir eu connaissance, en cas de violation de données.
• Supprimer ou restituer les données à la fin du contrat, au choix du Commerçant.
• Mettre à sa disposition les informations nécessaires pour démontrer le respect de ces obligations.

5. Sous-traitants de Pasto

Le Commerçant autorise Pasto à recourir aux prestataires suivants, tenus aux mêmes obligations :

• Supabase Pte. Ltd. : base de données, données stockées en Union européenne (région de Paris, France).
• Brevo : envoi des SMS et des e-mails.
• Vercel Inc. : hébergement du site. [À COMPLÉTER : région d'hébergement et garanties du transfert hors Union européenne, à la mise en ligne]
• Stripe : paiement des abonnements (données du Commerçant uniquement).

Pasto prévient le Commerçant de tout changement de prestataire, qui peut s'y opposer en résiliant.

6. Engagements du Commerçant

Le Commerçant informe ses clients du programme (règlement affiché sur la page carte, affiche de comptoir) et ne leur envoie des SMS publicitaires qu'avec leur accord, recueilli par la tablette.